令和3年度 春期 ITサービスマネージャ試験 午前II 問14
マネジメントシステム監査監査の種類・基準・監査人
情報セキュリティ監査基準（Ver 1.0）における，情報セキュリティに保証を付与することを目的とした監査（保証型の監査）と，情報セキュリティに対して助言を行うことを目的とした監査（助言型の監査）とに関する記述のうち，適切なものはどれか。
解答・解説
正解: ウ. 保証型の監査とは，監査手続を実施した限りにおいて，監査対象の情報セキュリティに関するマネジメントやコントロールが適切か否かを保証する監査のことである。
情報セキュリティ監査基準（Ver 1.0）における「保証型の監査」と「助言型の監査」の定義と目的を問う問題です。
保証型の監査とは、監査人が自ら実施した監査手続の結果に基づき、監査対象の情報セキュリティに関するマネジメントやコントロールが適切に構築・運用されているか否かについて、合理的な保証を付与することを目的とする監査です。
一方、助言型の監査とは、情報セキュリティ上の問題点を指摘し、その改善に向けた助言（アドバイス）を行うことを目的とする監査です。
各選択肢の解説
- ア：誤り。助言型の監査であっても、監査上の判断の尺度として情報セキュリティ管理基準などの客観的な基準を利用する必要があります。監査人の自由裁量のみで指摘や提言を行うものではありません。
- イ：誤り。監査人には業務の執行権限がないため、監査対象に対して改善を命令することはできません。助言型の監査で行うのは、あくまで改善に向けた「助言」や「提案」です。
- ウ：正解。保証型の監査の適切な説明です。監査人は実施した手続の範囲内で、情報セキュリティ対策が適切か否かを評価し、その結果として合理的な保証を付与します。
- エ：誤り。保証型の監査は、情報セキュリティ対策（マネジメントやコントロール）が適切に運用されていることを保証するものであり、将来にわたってインシデントが絶対に発生しないことを保証（絶対的保証）するものではありません。